squid無論是正向，反向，透明都可以cache。 connect可以作為正向代理來用。客戶端向代理髮connect方法，代理會根據connect ip:port或host欄位連線上游，並返回給客戶端 HTTP/1.0 200 Connection established， 以後的客戶端（任意協議）請求都會被代理透傳到上                   遊。clientProcessRequest--> if (r->method == METHOD_CONNECT) sslStart()-->連向上遊。 squid transparent（nat代理）：經研究是個半透明代理， 客戶端不需要在瀏覽器中指定代理伺服器的地址和埠號，代理服務對客戶端使用者說是“透明”的，使用者甚至並不知道自己已經在使用代理服務了。                              但上游還是知道是經過代理了，這樣對客戶有acl控制的還是不好使。                            通過host欄位走dns或hosts檔案獲取 （或SO_ORIGINAL_DST ，有巨集控制）從客戶端套接字獲取上游的ip和埠（因為netfilter會保留nat或redirect過後的資料包的原始資料流，所以可以獲取 原始dip）。clientTryParseRequest->parseHttpRequest->clientNatLookup.   parseHttpRequest後會通過urlparse重新生成新request，這樣host就換成dip。                             需要配置nat來實現功能。                            iptables -t nat -A PREROUTING -i eth0 -p tcp  --dport 80     -j REDIRECT --to-ports 81                           iptables -t nat -A POSTRO UTING -j MASQUERADE

• MASQUERADE - SNAT的一種特殊形式，適用於像adsl這種臨時會變的ip上
• REDIRECT - DNAT的一種特殊形式，將網路包轉發到本地host上（不管IP頭部指定的目標地址是啥）

squid tproxy ： 全透明模式，上游也認為連線的是客戶端。 通過設定IP_TPROXY(2.6版本，4.0版本已改為IP_TRANSPARENT)選項用客戶端地址建立socket，然後連線上游（通過request->host欄位或dns獲取或hosts檔案獲取，因為是7層代理，可以通過http頭部獲取dip；如果是4層代理，dip只能通過SO_ORIGINAL_DST 獲取）。                       fwdConnectStart-->用客戶端地址設定套接字

IP_TPROXY-》commConnectStart 目測需要如下配置： /sbin/iptables -t mangle -N DIVERT /sbin/iptables -t mangle -A PREROUTING -p tcp -m socket -j DIVERT
/sbin/iptables -t mangle -A DIVERT -j MARK --set-mark 1
/sbin/iptables -t mangle -A DIVERT -j ACCEPT
/sbin/ip rule add fwmark 1 lookup 100 /sbin/ip route add local 0.0.0.0/0 dev lo table 100  iptables -t mangle -A PREROUTING -p tcp --dport 80 -j TPROXY --tproxy-mark 0x1/0x1 --on-port 50080    引數說明： laddr 為代理伺服器的本地監聽套接字的本地ip，此例中省略，即取本地ip； lport 為代理伺服器的本地監聽套接字的本地port，50080（也可以是別的埠，是另一個服務程序監聽的埠，是本控制元件的資料出口）； mark_value 為mark值，依據此標記值使用ip rule命令工具為標記資料流進行路由選擇； tproxy優勢：其的優勢在於不對資料包（包頭資訊）進行任何改變（NAT），就可以重定向資料包。 haproxy透明代理用的就是IP_TRANSPARENT ____________________________________________________________ 網橋擷取報文到三層 ebtables中的broute表功能： 用於控制進來的資料包是需要進行bridge轉發還是進行route轉發，即2層轉發和3層轉發。

BROUTING的ACCEPT/DROP和FORWARD中的區別：

ACCEPT	DROP
BROUTING	bridge it	route it
FORWARD	接收該包，當前主Chain後面的rule則不再需要對其進行匹配處理	丟棄該包